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Verfahren und Vorrichtung zum Ableqen eines 
Computerproqramms in einen Programmspeicher eines 
Steuerqerats 

Stand der. Technik 

Die vorliegende • Erf indung betrifft ein Verfahren zum 
Ablegen eines Computerprogramms in einen Programmspeicher 
eines Steuergerats, wobei das Computerprogramm nach 
vorgebbaren Regeln in bestimmten Speicherbereichen des 
Programmspeichers abgelegt wird. 

Die Erfindung betrifft aufrerdem eine Vorrichtung zum 
Ablegen eines Computerprogramms in einen Programmspeicher 
eines S teuergerats , wobei die Vorrichtung erste Mittel zum 
Ablegen des Computerprogramms nach vorgebbaren Regeln in 
bestimmte Speicherbereiche des Programmspeichers aufweist. 

Schliefilich betrifft die vorliegende Erfindung ein 
Steuergerat mit einem Rechengerat, insbesondere einem 
Mikroprozessor , und einem Programmspeicher, auf dem ein 
Computerprogramm nach vorgebbaren Regeln in bestimmten 
Speicherbereichen des Programmspeichers abgelegt ist. 
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Aus dem Stand der Technik ist es bspw. bei Kraf t f ahrzeug- 
Steuergeraten bekannt, den Programmcode eines 
Computerprogramms fur ein Rechengerat, insbesondere fiir 
5 einen Mikroprozessor oder fur eine CPU (Central Processing 
Unit) , und fiir eventuell vorhandene Co-Prozessoren 
entsprechend einem. fiir das jeweilige Steuergerat gultigen 
Adressmapping zu lokatieren und in einem Programmspeicher 
des Steuergerats abzulegen. Unter Lokatieren wird das 
10 Zuweisen bestimmter Teile des Computerprogramms, sog. 
tS^[ Programmsegmente, zu bestimmten Speicherbereichen des 



[ Programmspeichers verstanden. 

Nach dem Stand der Technik erfolgt das Lokatieren und 
15 . Ablegen des Programmcodes in dem Programmspeicher nach 
vorgebbaren Regeln, die insbesondere die nachf olgenden 
Sachverhalte berucksicht igen : 
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Programmsegmente, die haufig aufgerufen werden, werden 
in Speicherbereiche lokatiert, die eine schnelle . 
Programmausf iihrung, d. h. eine schnelle Abarbeitung 
der Programmsegmente auf dem Mikroprozessor oder. der 
CPU ermoglichen. Diese Programmsegmente (bspw. der 
Programmcode schneller Zeitraster) konnen in einem 
internen Flash-Speicher des Steuergerats abgelegt 



werden . 
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Die Zugrif f smoglichkeiten auf den Programmspeicher bei 
bestimmten hardwarebedingten Systemzus tanden . So kann 
es bspw. vorkommen, dass bei Unterspannung nicht auf 
den internen Flash-Speicher zugegriffen werden kann. 
Urn diesem Sys temzustand Rechnung zu tragen, werden die 
Programmsegmente, auf die trotz Unterspannung sicher 
zugegriffen werden soil, in einen externen Flash- 



Speicher lokatiert und dort abgelegt. 

Im Rahmen der vorliegenden Erfindung wird unter internem 
Flash-Speicher derjenige Flashbereich bezeichnet, der sich 
innerhalb des CPU-Gehauses befindet. Mit externem Flash- 
Speicher ist dagegen ein separater IC (Integrated Circuit) - 
Baustein bezeichnet, auf den uber einen externen Bus von 
der CPU aus zugegriffen wird. 

Die Lokatierung erfolgt nach dem Assemblieren, Compilieren 
und Linken des Programmcodes und bevor das Computerprogramm 
in den Programmspeicher des Steuergerats abgelegt wird. 
Insgesamt fuhrt das aus dem Stand der Technik bekannte 
Verfahren zum Ablegen eines Computerprogramms in einem 
Programmspeicher eines Steuergerats dazu, dass 
Programmsegmente auf unterschiedliche, nicht 
zusammenhangende Adressbereiche des Programmspeichers 
verteilt werden. 

Beim Abarbeiten des in dem Programmspeicher abgelegten 
Computerprogramms auf einem Rechengerat, insbesondere auf 
einem Mi kroprozessor oder einer CPU, kann es aus 
unterschiedlichen Griinden dazu kommen, dass das 
Computerprogramm in ungenutzte Speicherbereiche des 
Programmspeichers, in denen kein Programmcode abgelegt ist, 
springt. In den ungenutzten Speicherbereichen ist nach dem . 
Stand der Technik kein definierter Programmcode abgelegt. 
Nach einem Sprung in den ungenutzten Speicherbereich des 
Programmspeichers wird folglich dieser undefinierte 
Programmcode abgearbeitet . Dadurch kann das Steuergerat in 
einen undef inierten und damit irregularen Zustand gelangen. 

Ursachen fur einen Sprung des Computerprogramms in den 
ungenutzten Speicherbereich des Programmspeichers konnen 



innere und aufrere Einfltisse, bspw. Bitkipper in clem Flash- 
Speicher oder in einem RAM (Random-Access-Memory) , 
Auswirkungen von uberhohter EMV (Elektromagnetische 
Vertraglichkeit ) -Strahlung oder schlummernde 
Programrnierf ehler sein . 

Aus dem Stand der Technik sind des weiteren verschiedene 
Mechanismen bekannt, urn einen irregularen Zustand des 
Steuergerats zu erkennen und das System einerseits in einen 
sicheren Zustand zu uberfuhren und andererseits die 
Funkt ionalitat des Steuergerates wieder. zu gewahrleisten . 
Diese bekannten Mechanismen umfassen bspw. : 

einen internen Controller-Watchdog; 

eine Oberwachung von Zeitrastern; 

ein Zwei-Rechner-Konzept ; 

eine Oberwachung des Programmablauf s auf 
Plausibilitat ; 

eine Checksummenpriif ung . 

Durch die beispielhaft aufgezahlten Mechanismen wird 
versucht, Bitkipper in dem Flash-Speicher oder in dem RAM, 
Einflusse durch elektromagnetische Einstrahlung (EMV) oder 
nichtpiaus ible Zustande wie z.B. schlummernde 
Prograrrimierf ehler (bspw. Sprunge uber falsch berechnete 
Pointer) direkt oder indirekt zu erkennen, das Steuergerat 
in einen sicheren Zustand zu uberfuhren und die 
Funktional itat des Steuergerates wieder her zustellen . Durch 
das fruhzeitige Erkennen von irregularen oder undef inierten 
Zustanden des Steuergerates soli die Robustheit des Systems 



erhoht werden. Durch eine rasche Wiederherstellung der 
Funktionalitat des Steuergerates soil die Ver f iigbarkeit des 
Systems verbessert werden. 

Aus der DE 100 18 859 Al ist es bekannt, bei-m Auftreten 
einer Fehlf unktion einer Einrichtung zum Messen, Steuern 
und Regeln (MSR) ein Uberwachungssystem fur die MSR- 
Einrichtung nicht sofort, sondern erst nach mehrfachem 
Auftreten einer Fehlfunktion in einen sicheren Zustand zu 
iiberf uhren . Bei jedem Auftreten einer Fehlfunktion wird der 
Zahlerstand eines Zahlers erhoht. Oberschrei tet der 
Zahlerstand einen vorgebbaren Grenzwert, geht das 
Uberwachungssystem in den sicheren Zustand iiber. 

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, 
einen weiteren Mechanismus zu schaffen, durch den 
undefinierte oder irregulare Zustande des Steuergerates 
erkannt, sowie das Steuergerat in einen sicheren Zustand 
uberfuhrt und die Funktionalitat des Steuergerates wieder 
hergestellt werden kann. 

Zur Losung dieser Aufgabe schlagt die vorliegende Erfindung 
ausgehend von dem Verfahren der eingangs genannten Art vor, 
dass in ungenutzten Speicherbereichen des 
Programmspeichers , in denen das Computerprogramm nicht 
abgelegt wird, vorgebbare Inf ormat ionen abgelegt werden, 
durch die das Steuergerat in einen definierten Zustand 
uberfuhrt wird. 

Vorteile der Erfindung 

Ein wesentlicher Aspekt der vorliegenden Erfindung besteht 
somit darin, in den ungenutzten Speicherbereichen des 
Prograrnmspeichers statt des undef inierten Programmcodes 
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vorgebbare Inf ormationen, vorzugsweise einen bestimmten 
Programmcode abzulegen, durch den das Steuergerat in einen 
definierten Zustand uberfuhrt wird. Zusatzlich kann durch 
die vorgebbaren Inf ormationen auch die Funktionalitat des 
5 Steuergerates wieder hergestellt werden. 

Die Erfindung betrifft einen Mechanismus, der verhindert, 
dass das Rechengerat, insbesondere der Mikroprozessor oder 
die CPU, durch Speicherbereiche lauft, die in dem ... 
10 entsprechenden Stand des Computerprogramms eigentlich 
ungenutzt sind und folglich fur die Programmausf uhrung 
nicht verwendet werden durfen. Falls das Rechengerat in 
diese Speicherbereiche verzweigt, liegt auf jeden Fall ein 
nicht plausibler Zustand vor. Urn den weiteren Ablauf des 
15 Computerprogramms durch diesen ungenutzten Speicherbereich 
hindurch dennoch kontrollieren zu konnen und eine zufallige 
Ruckkehr in vorhandenen Programmcode des Computerprogramms 
auszuschlieflen,: soli dieser Speicherbereich zumindest 
teilweise mit einem speziellen Programmcode aufgefullt 
werden, durch den das Rechengerat gezielt in einen 
definierten Zustand uberfuhrt wird. Vorzugsweise wird das 
Rechengerat durch den speziellen Programmcode veranlasst 
/ den ungenutzten Speicherbereich zu verlassen. 

25 Urn eine Diagnose uber die Ursache des Fehlers, der zu dem 
Sprung in den ungenutzten Speicherbereich des 
Programmspeichers gefuhrt hat, zu erhalten, konnen 
zusatzlich Vergangenheitsinf ormationen in einer Interrupt- 
Service-Routine oder in einer Fehlerbehandlungs-Routine . 

30 abgespeichert v/erden. 

Sobald in einen ungenutzten Speicherbereich gesprungen wird 
bzw. sobald Programir.be f ehle aus diesem Speicherbereich 
ausgefuhrt werden, wird dies erkannt. Das Steuergerat wird 
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sofort oder erst nach einer speziellen Fehlerbehandlung 
zuruckgeset zt . Durch einen anschliefienden Hochlauf des 
Steuergerateprogramms wird das System wieder in einen 
definierten, f unkt ionsf ahigen Zustand versetzt . Nach dem 
Hochfahren des Steuergerates kann dann, sofern kein 
dauerhafter Fehler vorliegt, wieder mit der normalen 
Funktionalitat des Steuergerates fortgefahren werden. 

Der erf indungsgemali vorgeschlagene Mechanismus bietet eine 
Absicherungsmafinahme gegen Programmausf iihrung in den 
ungenutzten Speicherbereichen eines Programmspeichers, die 
in dem ent sprechenden Stand des Computerprogramms nicht 
verwendet werden diirfen. Durch die vorliegende Erfindung 
wird die Robustheit eines Computerprogramms fur ein 
Steuergerat erhoht und die Verf ugbarkeit des Steuergerats 
entscheidend verbessert. Das Auftreten eines 
nichtplausiblen bzw. irregularen Zustands wird sofort 
erkannt. Daruber hinaus ist eine nacht ragliche 
Implement ierung in der Software aller Steuergerate moglich. 
Der erf indungsgemafl vorgeschlagene Mechanismus kann einfach 
und schneil in der S teuergeratesof tware implement iert 
werden. Da eine Erweiterung des Programmcodes des 
Computerprogramms nicht notwendig ist, fallt kein 
zusatzlicher Aufwand und fallen keine zusatzlichen Kosten 
fur die Realisierung der vorliegenden Erfindung an. 

Es ist theoretisch denkbar, dass ein Rechengerat des 
Steuergerates, insbesondere ein Mikrcprozessor oder eine 
CPU , wahrend der Abarbeitung des Computerprogramms in 
Speicherbereiche des Flash-Speichers springt bzw. 
Speicherbereiche des Flash-Speicher s durchlauft, die zwar 
physikalisch vorhanden sind,, die aber in dem aktuellen 
Stand des Computerprogramms ungenutzt sind. Falls das 
Rechengerat f aischlicherweise in diese ungenutzten 
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Speicherbereiche springt und/oder in diesen ungenutzten 
Speicherbereichen Programmcode ausliest, kann das 
Steuergerat in einen irregularen oder undef inierten Zustand 
gelangen. Das Rechengerat wird versuchen, den aus den 
ungenutzten Speicherbereichen ausgelesenen Programmcode 
auszufiihren. Falls der Programmcode keinen Sprung 
beinhaltet, wird das Rechengerat linear die gelesenen 
Programmbef ehle ausfiihren und rait grofrer Wahrscheinlichkeit 
irgendwann in einen Speicherbereich mit regularem ... 
Programmcode des Computerprogramms wieder hineinlauf en . Das 
Systemverhalten wahrend der Ausfuhruhg der Programmbef ehle 
aus dem ungenutzten Speicherbereich als auch das 
Systemverhalten nach einem Ubergang in den tatsachlich 
genutzten Speicherbereich des Flash-Speichers ist nicht 
definiert bzw. nicht vorhersehbar und muss deshalb 
vermieden werden. Besonders kritisch ist dieses Verhalten, 
wenn es in einem Zeitraster geschieht, das selbst nicht auf 
Plausibilitat kontrolliert wird. 

Mit der vorliegenden Erfindung kann ein solcher 

undef inierter bzw. irregularer Zustand des Steuergerates 

sofort wieder abgebrochen werden, wodurch die Robustheit 

des Steuergerats erhoht wird. Aufierdem kann durch geeignete 

Wahl der vorgebbaren Inf ormat ionen das Gesamtsystem schnell 

wieder in einen sicheren Zustand uberfiihrt und die 

Funkt ionalitat des Steuergerates wieder hergestellt werden, 

wodurch die Ver f ugbarkeit des Steuergerats entscheidend 

verbessert wird. 

Gemaft einer vor ceilhaf ten Weiterbildung der vorliegenden 
Erfindung wird vorgeschlagen, dass das Steuergerat durch 
Abarbeiten der vorgebbaren Inf ormat ionen auf einem 
Rechengerat, insbesondere auf einem Mikroprozessor oder auf 
einer CPU (Central Processing Unit), des Steuergerats 
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zuruckgesetzt wird. Durch die in dem ungenutzten 
Speicherbereich abgelegten Inf ormationen wird also gezielt 
ein Reset des Steuergerates ausgelost. Der Reset wird 
vorzugsweise durch einen entsprechenden Programmbef ehl 
5 bewirkt (sog. Software-Reset) oder durch einen in der 
Recheneinheit nicht vorhandenen und damit verbotenen 
Befehlscode (sog. Illegal Opcode) oderbspw. durch einen 
Befehl „trap unconditionally" fur die Verzweigung in eine 
Interrupt-Service Routine und/oder eine Fehlerbehandlungs- 
10 Routine. 



Gemali einer bevorzugten Ausf uhrungsform der vorliegenden 
Erfindung wird vorgeschlagen, dass durch Abarbeiten der 
vorgebbaren Inf ormationen auf einem Rechengerat, 
insbesondere auf einem Mikroprozessor oder einer CPU, des 
Steuergerats eine Interrupt-Service-Routine aufgerufen 
wird. Bei einem Interrupt wird ein laufendes 
Computerprogramm eines Prozessors zugunsten eines 
dringenderen Programms unterbrochen . Bei Auftreten eines 
Interrupts rettet der Prozessor alle fur die Weiterarbeit 
am laufenden Computerprogramm notwendigen Daten in einen 
speziellen Speicherbereich, dem sogenannten Stapelspeicher 
oder- Stack. Nach dem Abarbeiten der Interrupt-Service- 
Routine setzt der Prozessor dann das laufende 
Computerprogramm fort. Im Rahmen des Programms, das durch 
die Interrupt-Service-Routine aufgerufen wird, kann das 
System in einen sicheren Zustand uberfuhrt und die 
Funktionalitat des Steuergerats wieder hergestellt werden.' 

Vorteilhafterweise wird durch Abarbeiten der vorgebbaren 
Informationen auf einem Rechengerat, insbesondere auf einem 
Mikroprozessor oder einer CPU , des Steuergerats eine 
Fehlerbehandlungs -Routine aufgerufen. 



Vorzugsweise wird das Steuergerat am Ende der Interrupt- 
Service-Rout ine und/oder am Ende der Fehlerbehandlungs- 
Routine zuriickgeset zt . Das Zuriicksetzen des Steuergerats 
kann bspw. durch einen entsprechenden Programmbef ehl 
bewirkt werden (sog. Software-Reset) oder durch einen in 
der Recheneinheit nicht vorhandenen und damit verbotenen 
Befehlscode (sog. Illegal Opcode) oder bspw. durch einen 
Befehl „trap unconditionally" fur die Verzweigung in eine 
Interrupt-Service Routine und/oder eine Fehlerbehandlungs- 
Routine. Der Reset hat einen Hochlauf des 

Steuergerateprogramms zur Eolge hat. Sowohl im Rahmen der 
Interrupt-Service-Rout ine als auch im Rahmen der 
Eehlerbehandlungs-Routine konnen Inf ormat ionen uber den 
genauen Ort des Auftretens und die Vergangenheit 
festgehalten werden (z.B. eine Rucksprungadresse in das 
Computerprogramm) . Aus diesen Inf ormat ionen konnen 
Ruckschliisse (z.B. auf die Haufigkeit des Auftretens eines 
Fehlers) gezogen werden. 

Die genaue Umsetzung der vorliegenden Erfindung hangt 
einerseits von dem verwendeten Rechengerat, insbesondere 
von dem Typ des verwendeten Mikroprozessors oder der 
verwendeten CPU ab. Verschiedene Rechengerate unterscheiden 
sich bspw. durch den verwendeten Befehlssatz, der auf dem 
Rechengerat abgearbeitet wird. Ande.rerseit s hangt die 
genaue Umsetzung der vorliegenden Erfindung von dem 
gewunschten Umfang der Funktionalitat des Mechanismus, 
d. h. von der gewunschten " Intelligenz" der Erkennung,' der 
Uberfuhrung in einen sicheren Zustand und der. 
Wiederherstellung der Funkt ions'f ahigkeit des Steuergerates , 
ab . 

Es ist denkbar, die vorgebbaren Inf ormat ionen lediglich in 
ausgewahlten ungenut zten Speicherbereichen des 



Programmspeichers abzulegen. Gemafr einer vorteilhaf ten 
Weiterbildung der vorliegenden Erfindung wird jedoch 
vorgeschlagen, dass die vorgebbaren Inf ormat ionen in alien 
ungenutzten Speicherbereichen des Programmspeichers 
abgelegt werden. 

Gemafi einer bevorzugten Ausf uhrungsf orm der vorliegenden 
Erfindung wird vorgeschlagen, dass wenigstens ein 
ungenutzter Speicherbereich des Programmspeichers mit den 
vorgebbaren Inf ormationen vollstandig aufgefiillt wird. Es 
ist denkbar, lediglich ausgewahlte oder aber alle 
ungenutzten Speicherbereiche des Programmspeichers 
vollstandig mit den vorgebbaren Inf ormationen aufzufiillen. 

Gemaft einer anderen bevorzugten Ausf uhrungsf orm der 
vorliegenden Erfindung wird vorgeschlagen, dass die 
vorgebbaren Inf ormat ionen in vorgebbaren. Abstanden in 
wenigstens einem ungenutzten Speicherbereich des 
Programmspeichers abgelegt werden, wobei der Teil des 
ungenutzten Speicherbereichs, in dem die vorgebbaren 
Inf ormationen nicht abgelegt werden, keine Sprunge und 
keine Endlosschleif en bewirkt . Die vorgebbaren 
Inf ormat ionen werden vorzugsweise in regelmafrigen Abstanden 
in dem wenigstens einen ungenutzten Speicherbereich des 
Programmspeichers abgelegt-' 

Gemaft noch einer anderen bevorzugten Ausf uhrungsf orm der 
vorliegenden Erfindung wird vorgeschlagen, dass die 
vorgebbaren Inf ormat ionen lediglich am Ende wenigstens. 
eines ungenutzten Speicherbereiches des Programmspeichers 
abgelegt werden. Dabei muss jedoch sichergestellt sein, 
dass der Teil des ungenutzten Speicherbereiches, in dem 
keine vorgebbaren Inf ormat ionen abgelegt werden, keine 
Sprunge und keine Endlosschleif en bewirkt. 
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Als eine weitere Losung der Aufgabe der vor liegenden 
Erfindung wird ausgehend von der Vorrichtung der eingangs 
genannten Art vorgeschlagen, dass die Vorrichtung zweite 
Mittel zum Ablegen von vorgebbaren Inf ormat ionen, welche 
das Steuergerat in einen definierten Zustand iiberfuhren, in 
ungenutzte Speicherbereiche des Programmspeichers aufweist, 
in denen die ersten Mittel das Computerprogramm nicht 
abgelegt haben. 

Gemafi einer vorteilhaf ten Weiterbildung der vorliegenden 
Erfindung wird vorgeschlagen, dass die zweiten Mittel als 
ein Hexadezimal-Editor ausgebildet sind. Durch den 
Hexadezimal-Editor konnen die ungenutzten Speicherbereiche, 
die in dem entsprechenden Stand des Computerprogramms nicht 
genutzt werden, mit speziellem Hexadezimal-Code gefullt 
werden. Das Befullen des nichtgenut zten Programmspeichers 
erfolgt im Verlaufe der Herstellung des Standes des 
Computerprogramms. • 

Gemafi einer bevorzugten Ausf uhrungsf orm der vorliegenden 
Erfindung wird vorgeschlagen, dass die Vorrichtung Mittel 
zur Ausfiihrung des erf indungsgemaften Verfahrens aufweist. 

Als noch eine weitere Losung der Aufgabe der vorliegenden 
Erfindung wird ausgehend von dem Steuergerat der eingangs 
genannten Art vorgeschlagen, dass in ungenutzten 
Speicherbereichen des Programmspeichers, in denen das 
Computerprogramm nicht abgelegt ist, vorgebbare 
Inf ormat ionen abgelegt sind, durch die das Steuergerat in 
einen definierten Zustand uberfuhrbar ist. 

Gemafi einer vorteilhaf ten Weiterbildung der vorliegenden 
Erfindung wird vorgeschlagen, dass die vorgebbaren 



Inf ormat ionen nach dem erf indungsgemafien Verfahren in den 
ungenutzten Speicherbereichen des Programmspeichers 
abgelegt sind . 

Zeichnungen 

Weitere Merkmale, Anwendungsmoglichkeiten und Vorteile der 
Erfindung ergeben sich aus der nachf olgenden Beschreibung 
von Ausf uhrungsbeispielen der Erfindung, die in der 
Zeichnung dargestellt sind. Dabei bilden alle beschriebenen 
oder dargestellten Merkmale fur sich oder in beliebiger 
Kombination den Gegenstand der Erfindung, unabhangig von 
ihrer Zusammenf assung in den Patentanspruchen oder deren 
Ruckbeziehung sowie unabhangig von ihrer Formulierung bzw. 
Darstellung in der Beschreibung bzw. in der Zeichnung. Es 
zeigen: 

Figur 1 ein Ablauf diagramm eines erf indungsgemafien 
Verfahrens gemali einer bevorzugten 
Ausf uhrungs form; und 

Figur 2 ein erf indungsgemafies Steuergerat gemaft einer 
bevorzugten Ausf uhrungsform. 

Beschreibung der Ausf uhrungsbeispiele 

In Figur 1 ist ein Ablauf des erf indungsgemafren Verfahrens 
gemafi .einer bevorzugten Ausf uhrungs form dargestellt. Das 
erf indungsgemalie Verfahren beginnt in einem Funkt ionsblock 
1. In einem Funkt ionsblock 2 wird der Programmcode fur ein 
bestimmtes Computerprogramm erstellt. Das Computerprogramm 
dient bspw. zur Steuerung und/oder Regelung einer 
bestirrumten Funkt ionalitat in einem Kraf t f ahrzeug . In einem 
Funktionsblock 3 wird das erstellte Computerprogramm 



assembliert , kompiliert und gelinkt. Anschliefiend erfolgt 
in einem Funkt ionsblock 4 die Lokatierung des 
Programmcodes . Im Rahmen der Lokatierung wird das , 
Computerprogramm nach vorgebbaren Regeln bestimmten 
Speicherbereichen eines Programmspeichers zugeordnet, Beim 
Lokatieren des Programmcodes werden bspw. folgende 
Sachverhalte berucksichtigt : 

Teile des Computerprogramms, sogenannte 
Programmsegmente, die haufig aufgerufen werden (bspw. der 
Programmcode schneller Zeitraster) , werden in 
Speicherbereichen lokatiert, die eine schnelle 
Programmausf iihrung ermoglichen, bspw. in einem internen 
Flash-Speicher. 

Programmsegmente, auf die trotz bestimmter 
hardwarebedingter Systemzustande mit Sicherheit noch 
zugegriffen werden soli, werden in entsprechende 
Speicherbereiche lokatiert, auf die auch in diesem 
Systemzustanden noch sicher zugegriffen werden kann. Falls 
bspw. bei Unterspannung ein Zugriff auf einen internen 
Flash-Speicher nicht moglich ist, werden die ent sprechenden 
Programmsegmente in externe -Flash-Speicher lokatiert. Durch 
das Lokatieren wird das Computerprogramm auf 

unterschiedliche, nicht zusammenhangende Adressbereiche des 
Programmspeichers verteilt . 

■In einigen Speicherbereichen des Programmspeichers wird das 
Computerprogramm nicht abgelegf, diese Speicherbereiche 
bleiben also ungenutzt. Es ist theoretisch denkbar, dass 
ein Rechengerat, insbesondere ein Mikroprozessor oder eine 
CPU (Central Processing Unit), bei der Programmausf iihrung 
in diese ungenutzten Speicherbereiche des Programmspeichers 
springt bzw. diese ungenutzten Speicherbereiche durchlauft. 



Diese ungenutzten Speicherbereiche sind zwar physi kalisch 
vorhanden, werden aber bei dem aktuellen Programmstand 
nicht genutzt und sind somit frei. Falls das Rechengerat 
f alschlicherweise in diese ungenutzten Speicherbereiche 
springt und/oder in diesen ungenutzten Speicherbereichen 
Programmcode ausliest, kann das Steuer.gerat in einen 
undef inierten und damit irregularen Zustand gelangen. Das 
Rechengerat versucht, den aus dem ungenutzten 
Speicherbereich ausgelesenen Programmcode auszufuhren. 
Falls der Programmcode keinen Sprung beinhaltet, fiihrt das 
Rechengerat die eingelesenen Programmbef ehle linear aus und 
lauft mit grofier Wahrscheinlichkeit in einen 
Speicherbereich hinein, in dem regularer Programmcodes des 
Programms abgelegt ist. 

Das • Systemverhalten wahrend der Abarbeitung von 
Programmbef ehlen aus dem ungenutzten Speicherbereich und 
nach einem Ubergang in den von dem Computerprogramm 
tatsachlich genutzten Speicherbereich des Programmspeichers 
ist nicht vorhersehbar und muss deshalb vermieden werden. 
Besonders kritisch ist dieses Verhalten, wenn es in einem 
Zeitraster geschieht, das selbst nicht auf Plausibilitat 
kontrolliert wird . 

Die vorliegende Erfindung schlagt einen weiteren 
Mechanismus vor, durch den dieser irregulare Zustand sofort 
bei dessen Auftreten abgebrochen, das Gesamtsystem in einen 
sicheren Zustand uberfiihrt und die Funkt ionalitat des 
Steuergerats v/ieder hergestellt wird. Dazu werden bei. dem 
erf indungsgemalien Verfahren in einem Funkt ionsblock 5 
vorgebbare Inf ormat ionen in den ungenutzten Speicherbereich 
des Programmspeichers lokatiert. Die vorgebbaren 
Inf ormat ionen bewirken ein Zuruckseizen des Steuergerates, 
wenn sie auf dem Rechengerat, insbesondere auf dem 



Mikroprozessor oder CPU , abgearbeitet werden. Es ist aber 
auch denkbar, dass durch Abarbeiten der vorgebbaren 
Inf ormat ionen auf dem Rechengerat zunachst eine Interrupt- 
Service-Routine oder eine Fehlerbehandlungs-Routine 
aufgerufen wird. Am Ende der Routine kann das Steuergerat 
dann bspw. durch einen Software-Reset zuriickgeset zt und neu 
hdchgef ahren werden. Das Steuergerat befindet sich dann in 
einem definierten, voll f unktionsf ahigen Zustand und kann 
mit der Abarbeitung des Computerprogramms fortf ahren. 

Die vorgebbaren Inf ormationen konnen lediglich in einem 
Teil der ungenutzten Speicherbereiche des Programmspeichers 
abgelegt werden. Vorzugsweise werden die vorgebbaren 
Inf ormat ionen jedoch in alien ungenutzten Speicherbereichen 
des Programmspeichers abgelegt. Des Weiteren ist es 
moglich, dass die vorgebbaren Inf ormationen lediglich in 
einem Teil eines ungenutzten Speicherbereiches, bspw. am 
Ende des ungenutzten Speicherbereiches, abgelegt werden. 
Dabei muss jedoch sichergestellt werden, dass der Teil des 
ungenutzten Speicherbereiches, in dem die vorgebbaren 
Inf ormationen nicht abgelegt sind, keine Sprunge und keine 
Endlosschleif en bewirkt, wenn der darin enthaltene 
Programmcode auf dem Rechengerat abgearbeitet wird. 
Vorzugsweise wird jedoch ein ungenutzter Speicherbereich 
des Programmspeichers mit den vorgebbaren Inf ormat ionen 
vollstandig aufgefiillt. 

In einem Funkt ionsblock 6 des erf indungsgemaflen Verfahrens 
wird der im Funkt ionsblock 4 lokatierte Programmcode des 
Computerprogramms und werden die in dem Funkt ionsblock 5- 
lokatierten vorgebbaren Inf ormat ionen in den entsprechenden 
Speicherbereichen des Programmspeichers abgelegt. In einem 
Funkt ionsblock 7 ist das erf indungsgemafte Verfahren 
beendet. 
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Gemafl einera alternativen er f indungsgemaBen Verfahren, das 
jedoch nicht in den Figuren dargestellt ist, werden 
zunachst samtliche vorhandene Speicherbereiche des 
5 Programmspeichers mit den vorgebbaren Inf ormationen 
gefullt. Anschlieftend wird nur der aus dem Lokator 
gewonnene Programmcode des Computerprogramms in die 
entsprechenden Speicherbereiche daruber geschrieben. Dieses 
Verfahren hat den Vorteil, dass dann liber alle Bereiche 
10 eine Checksumme gebildet werden kann. 

w 

>m In Figur 2 ist ein erf indungsgemalies Steuergerat gemali 

einer bevorzugten Ausf uhrungsf orm in seiner Gesamtheit mit 
dem Bezugszeichen 10 bezeichnet. Das Steuergerat 10 dient 
15 bspw. zur Steuerung und/oder Regelung bestimmter 

Funktionalitaten in einem Kraf t f ahrzeug . Das Steuergerat 10 
umfasst einen CPU (Central Processing Unit ) -Baustein 30 und 
einen separaten IC (Integrated Circuit ) -Baustein 31, auf 
dem ein externer Flash-Speicher 20 angeordnet ist. Der CPU- 
Baustein 30 umfasst ein Rechengerat 11, das bspw. als ein 
Mikroprozessor oder als eine CPU ausgebildet ist. Das 
Rechengerat 11 stent uber eine erste Datenverbindung 12 mit 
einem schnellen Arbeitspeicher 13 in Verbindung, der als 
0. ein statisches oder dynamisches RAM (Random-Access-Memory) 
25 ausgebildet ist. Uber eine zweite Datenverbindung 14 steht 
das Rechengerat 11 mit einem internen Flash-Speicher 15 und 
einem ROM (Read-Only-Memory) 16 in Verbindung.. Das ROM 16 
ist eir. Festwertspeicher, in dem bspw. das sogenannte BIOS" 
(Basic Input Output System) abgelegt ist. 
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Uber eine dritte Datenverbindung 17 und einen 
Kommur.ikationskontroller 18 steht das Rechengerat 11 mit 
einem Datenbus 19 in Verbindung. An den Datenbus 19 ist 
bspw. der externe Flash-Speicher 20 angeschlossen, so dass 
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das Rechengerat' 11 iiber den Datenbus 19 auf den externen 
Flash-Speicher 20 zugreifen kann. Der interne Flash- 
Speicher 15 und der externe Flash-Speicher 20 bilden den 
Programmspeicher, in dem das Computerprogramm 21 in 
bestimmten Speicherbereichen und in den ubrigen ungenutzten 
Speicherbereichen die vorgebbaren Inf ormationen 22 abgelegt 
sind. Ober eine vierte Datenverbindung 23 ist das 
Rechengerat 11 mit einer Schnittstel le 24 verbunden, iiber 
die eine Vorrichtung 25 zum Ablegen des Computerprogramms 
21 und der vorgebbaren Informationen 22 in den dafur 
vorgesehenen Speicherbereichen des Programmspeichers 
angeschlossen werden kann. 

Anhand des internen Flash-Speichers 15 wird der Stand der 
Technik beschrieben, bei dem wahrend der Ausfuhrung des 
Computerprogramms 21 .(Pfeil 26) falschlicherweise in den 
nachfolgenden ungenutzten Speicherbereich des Flash- 
Speichers 15 gesprungen wird (Pfeil 27). Das Rechengerat 11 
•liest Programmbefehle aus den ungenutzten Speicherbereich 
ein und fuhrt diese aus (Pfeil 28). Da es sich bei den aus 
dem ungenutzten Speicherbereich eingelesenen 
Programmbefehlen urn vorgebbare Informationen handelt, durch 
welche das Steuergerat 10 in einen ' def inierten Zustand 
uberfuhrt wird, besteht bei der vorliegenden Erfindung 
keine Gefahr, dass das Computerprogramm 21 in eine 
unkontrollierte Endlosschleif e oder das Steuergerat 10 in 
einen undef inierten und damit irregularen Zustand gelangt. 
Der definierte Zustand des Steuergerates 10 kann bspw. 
durch ein Software-Reset erzielt werden. Dazu springt das 
Rechengerat 11 durch die Abarbeitung der Programmbefehle 
(Pfeil 28) veranlasst an eine bestimmte RESET -Ad res se 
(Pfeil 29) eines Speicherbereichs des Programmspeichers 15, 
.20, in dem das Computerprogramm 21 abgelegt ist. Danach 
lauft das Computerprogramm 21 wieder hoch und die 



Abarbeitung des Computerprogramms 21 beginnt wieder von 
vorne. 

Der definierte Zustand des Steuergerats 10 kann aber auch 
durch die Abarbeitung einer Interrupt-Service-Routine oder 
einer Fehlerbehandlungs-Routine erzielt werden. Dazu 
springt das Rechengerat 11 durch die Abarbeitung der 
Programmbef ehle (Pfeil 28) veranlasst an eine bestimmte 
Speicher-Adresse eines Speicherbereichs des 
Programmspeichers 15, 20, in dem das Computerprogramm 21 
abgelegt ist. Diese Speicher-Adresse entspricht dem Anfang 
der Interrupt-Service-Routine oder der Fehlerbehandlungs- 
Routine . Nach Abarbeitung der Interrupt-Service-Routine 
oder der Fehlerbehandlungs-Routine kann das Rechengerat 11 
an die RESET-Adresse springen, urn das Steuergerat 10 
zuruckzuset zen . 

Die in den ungenutzten Speicherbereichen abgelegten 
vorgebbaren Inf ormationen sind bspw. als ein Programmcode 
in einem Hexadezimal-Format , sogenannter Hexadezimal-Code , 
ausgebildet. Zum Auffullen der ungenutzten Speicherbereiche 
des Programmspeichers 15, 20 kann die Vorrichtung 25 bspw. 
einen Hexadezimal-Editor umfassen. Der fur die vorgebbaren 
Inf ormationen verwendete Hexadezimal-Code sollte eine der 
folgenden Moglichkeiten erfullen: 

den gesamten ungenutzten Speicherbereich mit 
mindestens eine- Programmbef ehl auffullen, der gezielt ein 
Zurucksetzen des Steuergerates 10 (sogenannter Reset) 
auslost. Bei einem Microcontroller vom Typ 80C166 der Firma 
Siemens entspricht dies bspw. einem Befehl SRST oder 
Illegal Opcode. 

den gesamten . ungenutzten Speicherbereich mit 
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mindestens einem Programmbef ehl fallen, durch den in eine 
Interrupt -Service -Routine gesprungen wird . 

den gesamten ungenutzten Speicherbereich mit 
5 mindestens einem Programmbef ehl fallen, durch den in eine 
spezielle Fehlerbehandlungs-Routine gesprungen wird . 

nur am Ende eines ungenutzten Speicherbereichs und 
ggf. zusatzlich in regelmaliigen Abstanden, z. B. alle 
10 512 Byte, innerhalb des ungenutzten Speicherbereiches 

mindestens einen Programmbef ehl entsprechend den obigen 
drei Moglichkeiten implement ieren . Das setzt allerdings 
voraus, dass die sonstigen Programmbef ehle in dem 
ungenutzten Speicherbereich keine Sprunge und keine 
15 Endlosschleif en bewirken. 

Am Ende der Interrupt-Service-Rout ine und am Ende der 
Fehlerbehandlungs-Routine sollte das Steuergerat bspw. per 
Software zuruckgeset zt werden. Der Software-Reset hat ein 

20 erneutes Hochfahren des Steuergerates 10 zur Folge. Sowohl 
bei der Interrupt-Service-Routine als auch bei der 
Fehlerbehandlungs-Routine konnen bspw. 
Vergangenheitsinf ormationen aber den genauen Ort des 
Auftretens und die Vergangenheit festgehalten werden, z.B. 

25 Rucksprungadresse . Aus diesen Inf ormationen konnen 

Ruckschiasse bspw. auf die Haufigkeit des Auftretens eines 
Fehlers, gemacht werden. 
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Anspruche 

1. Verfahren zum Ablegen eines Computerprogramms (21) in 
einen Programmspeicher (15, 20) eines Steuergerats (10), 
wobei das Computerprogramm (21) nach vorgebbaren Regeln in 
bestimmten Speicherbereichen des Programmspeichers (15, 20) 
abgelegt wird, dadurch gekennzeichnet, dass in ungenutzten 
Speicherbereichen des Programmspeichers (15, 20), in denen 
das Computerprogramm (21) nicht abgelegt wird, vorgebbare 
Inf ormat ionen (22) abgelegt werden, durch die das 
Steuergerat (10) in einen definierten Zustand iiberfiihrt 
wird. 

2. Verfahren nach. Anspruch 1, dadurch gekennzeichnet, 
dass das Steuergerat (10) durch Abarbeiten der vorgebbaren 
Inf ormationen (22) auf einem Rechengerat (11), insbesondere 
auf einem Mikroprozessor, des Steuergerats (10) 
zuruckgeset zt wird . 

3. Verfahren nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, dass durch Abarbeiten der vorgebbaren 

Inf ormat ionen (22) auf einem Rechengerat (11), insbesondere 
auf einem Mikroprozessor, des Steuergerats (10) eine 
Interrupt -Service -Routine auf geruf en wird . 
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4. Verfahren nach einem der Anspruche 1 bis 3, dadurch 
gekennzeichnet, dass durch Abarbeiten der vorgebbaren 

Inf ormat ionen (22) auf einem Rechengerat (11), insbesondere 
auf einem Mikroprozessor, des Steuergerats (10) eine 
5 Fehlerbehandlungs-Routine aufgerufen wird. 

5. Verfahren nach Anspruch 3 oder 4, dadurch 
gekennzeichnet , dass das Steuergerat (10) am Ende der 
Routine zuruckgesetzt wird . 

6. Verfahren nach einem der Anspruche 1 bis 5, dadurch 
10 gekennzeichnet, dass die vorgebbaren Inf ormationen (22) in 

alien ungenutzten Speicherbereichen des Programmspeichers 
(15, 20) abgelegt werden. 

7. Verfahren nach einem der Anspruche 1 bis 6, dadurch 
gekennzeichnet, dass wenigstens ein ungenutzter 

15 Speicherbereich des Programmspeichers (15, 20) mit den 

vorgebbaren Inf ormationen (22) vollstandig aufgefiillt wird. 

8. Verfahren nach einem der Anspruche 1 bis 6, dadurch 
gekennzeichnet, dass die vorgebbaren Inf ormationen (22) in 
vorgebbaren Abstanden in wenigstens einem ungenutzten 

20 Speicherbereich des Programmspeichers (15, 20) abgelegt 

werden, wobei der Teil des ungenutzten Speicherbereichs , in 

y 

. dem die vorgebbaren Inf ormat ionen (22) nicht abgelegt 
werden, keine Sprunge und keine Endlosschleif en bewirkt. 

9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, 
25 dass die vorgebbaren Inf ormationen (22) in regelmaftigen 

Abstanden in dem wenigstens einen ungenutzten 
Speicherbereich des Programmspeichers (15, 20) abgelegt 
werden. 

10. Verfahren nach einem der Anspruche 1 bis 6, dadurch 
30 gekennzeichnet, dass die vorgebbaren Inf ormat ionen (22) am 



Ende wenigstens eines ungenutzten Speicherbereichs des 
Programmspeichers (15, 20) abgelegt werden, wobei der Teil 
des ungenutzten Speicherbereichs, in dem die vorgebbaren 
Inf ormationen (22) nicht abgelegt werden, keine Sprunge und 
keine Endlosschleif en bewirkt. . • 

11. Vorrichtung (25) zum Ablegen eines Computerprogramms 

(21) in einen Programmspeicher (15, 20) eines Steuergerats 
(10), wobei die Vorrichtung (25) erste Mittel zum Ablegen 
des Computerprogramms (21) nach vorgebbaren Regeln in 
bestimmten Speicherbereichen des Programmspeichers (15, 20) 
aufweist, dadurch gekennzeichnet, dass die Vorrichtung (25) 
zweite Mittel zum Ablegen von vorgebbaren Inf ormationen 

(22) , welche das Steuergerat (10) in einen definierten 
Zustand uberfuhren, in ungenutzte Speicherbereiche des 
Programmspeichers (15, 20) .aufweist, in denen die ersten 
Mittel das Computerprogramm (21) nicht abgelegt haben. 

12. Vorrichtung (25) nach Anspruch 11, dadurch 
gekennzeichnet , dass die zweiten Mittel als ein 
Hexadezimal -Editor ausgebildet sind . 

13. Vorrichtung (25) nach Anspruch 11 oder 12, dadurch 
gekennzeichnet, dass die Vorrichtung (25) Mittel zur 
Ausfuhrung eines Verfahrens nach einem der Anspruche 2 bis 
10 aufweist. 

14. Steuergerat (10) mit einem Rechengerat (11), 
insbesondere einem Mikroprozessor , und einem 
Programmspeicher (15, 20), auf dem ein Computerprogramm 
(21) nach vorgebbaren Regeln in bestimmten 
Speicherbereichen des Programmspeichers (15, 20) abgelegt 
ist, dadurch gekennzeichnet, dass in ungenutzten 
Speicherbereichen des Programmspeichers (15, 2G), in denen 
das Computerprogramm (21) nicht abgelegt ist, vorgebbare 
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Inf ormationen (22 ). abgelegt sind, durch die das Steuergerat 
(10) in einen definierten Zustand uberfuhrbar ist. 

15. Steuergerat (.10) nach Anspruch -14, dadurch 
gekennzeichnet , dass die vorgebbaren Inf ormationen (22) 
nach einem Verfahren nach einem der Anspriiche 2 bis 10 in 
den ungenutzten Speicherbereichen des Programmspeichers 
(15, 20) abgelegt sind. 
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Verfahren und Vorrichtunq zum Ableqen eines 

0 Computerprogramms in einen Proqrammspeicher eines 

> Steuerqerats 
\ 

Z u s ammen f a s s ung 

15 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
(25) zum Ablegen eines Computerprogramms (21) in einen 
Programmspeicher (15, 20) eines Steuergerats (10) . Das 
Computerprogramm (21) wird.nach vorgebbaren Regeln in 
20 bestimmten Speicherbereichen des Programmspeichers (15, 20) 
abgelegt. Urn einen f alschlicherweise erf olgten Sprung in 
einen ungenutzten Speicherbereich des Programmspeichers 
(15, 20), in dem das Computerprogramm (21) nicht abgelegt 
^ ist, moglichst schnell zu erkennen und urn zu verhindern, 
25 dass sich das Steuergerat (10) in einem irregularen Zustand 
befindet, wird vorgeschlagen, dass in den ungenutzten 
Speicherbereichen des Programmspeichers (15, 20), in denen 
das Computerprogramm (21) nicht abgelegt wird, vorgebbare 
Inf ormat ionen (22) abgelegt werden, durch die das 
30 Steuergerat (10) in einen definierten Zustand uberfuhrt 
wird. (Figur 2) 



R.302905 

2/2 




R.302905 



1/2 



Fig. 1 
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